Skip to content

Hacked email account: hidden forwarding rules and recovery

Яаралтай тусламжийн дугаар нь улс орон бүрт өөр өөр байдаг. Энэ хуудсанд АНУ, Канадын дугаар болох 911-ийг ашигладаг. Бусад олон улс орнууд 112, 999 эсвэл өөр тоог ашигладаг. Өөрийн улсын дугаарыг олоорой.

Your primary email account is the skeleton key to your entire digital, financial, and legal identity. Unlike a compromised social media profile or streaming login, a hacked Gmail, Microsoft Outlook / Microsoft 365, Yahoo, Apple iCloud Mail, or ProtonMail account gives an attacker the power to click "Forgot Password" on your bank accounts, cryptocurrency exchanges, retirement brokerages, tax portals, and cloud drives. Most dangerously, merely changing your email password and turning on Two-Factor Authentication (2FA) rarely kicks a sophisticated attacker out of a hacked inbox. Within 30 seconds of breaking into an email account, modern attackers plant five layers of silent persistence backdoors: hidden Inbox Sweep and Forwarding Rules (often named ., .., эсвэл [Blank] that silently move password-reset emails straight to the Trash эсвэл RSS Feeds folder so you never see them), Third-Party OAuth Application Grants (eM Client, Thunderbird, or fake Google Docs apps that retain full API read/write access without needing your password), Delegated Mailbox Permissions, App Passwords (IMAP/SMTP), and Recovery Email / Phone Number swaps.

If an email compromise involves immediate threats of physical violence, stalking, domestic abuse, or extortion against a minor, call your local emergency number (911 АНУ, Канадад, 112 Европын холбоо даяар, 999 Их Британид) эсвэл манай олон улсын лавлахаас лавлана уу яаралтай тусламжийн дугаар right away. For all consumer and corporate inbox takeovers, execute the 6-step eradication sequence below in exact order.

Үүнийг одоо хий

  1. Do NOT change your password from the same Windows PC or Mac if you suspect an Infostealer virus: If your email was hacked even though you already had Two-Factor Authentication (2FA) turned on, your computer likely has an Infostealer malware infection (such as Lumma Stealer, RedLine, or Atomic macOS Stealer) or a malicious Chrome/Edge extension that steals live authenticated browser session cookies (SAPISID/SID on Google or ESTSAUTH on Microsoft). Pick up a clean smartphone (iOS or Android) to perform your password change and security cleanup right now.
  2. Audit and revert your Account Recovery Email, Recovery Phone Number, and MFA Authenticator devices BEFORE changing your password (or within 30 seconds after): Attackers immediately add their own burner phone number, disposable email address, or rogue Authenticator app to your security settings. If you change your password without deleting the attacker's recovery phone or rogue passkey, the attacker will simply click "Forgot Password" 10 seconds later and lock you out permanently.
  3. Force-terminate all active login sessions, persistent browser cookies, and App Passwords globally: Changing a password does not always immediately kill existing mobile IMAP tokens or active web session cookies. Explicitly click "Sign out of all devices / Revoke all sessions" in your Google, Microsoft, Yahoo, or Apple security dashboard, and delete every 16-character App Password on the account.
  4. Open a desktop web browser (not a mobile mail app) and delete all hidden Inbox Rules, Filters, Auto-Forwarders, and Sweep Rules: Mobile mail apps (Gmail эсвэл Outlook iOS/Android дээр) сервер талын чиглүүлэлтийн дэвшилтэт дүрмийг байнга нуудаг. Компьютерийн хөтөч дээр вэб шуудангийн тохиргоогоо нээгээд Шүүлтүүр ба блоклосон хаягууд, ** Дамжуулах болон POP/IMAP**, Дүрэм/Шүүрдэх-г шалгана уу. гэх мэт үгс агуулсан имэйлийг гадагш дамжуулах эсвэл автоматаар шилжүүлэх аливаа дүрмийг устгана уу "bank", "code", "reset", "security", "wire", "invoice", эсвэл "crypto" руу Trash, Archive, эсвэл RSS Feeds хавтас.
  5. Гуравдагч этгээдийн OAuth-д холбогдсон бүх программ болон шуудангийн хайрцгийн төлөөлөгчдийг хүчингүй болгох: Өөрийн акаунтын Гуравдагч талын программ ба үйлчилгээ (Google) эсвэл Хандалт өгсөн программ, үйлчилгээ (Microsoft/Yahoo) руу шилжиж, дараах программ бүрийг хүчингүй болго. Mail.Read, Mail.ReadWrite, эсвэл Gmail API зөвшөөрөл, дээр нь Таны Бүртгэлд (Төлөөлөгч) хандах эрх олгох гэснийг шалгана уу, ингэснээр халдагч нууц үгийн өөрчлөлтийг бүрэн үл тоомсорлох OAuth токеноор дамжуулан таны ирсэн имэйлийг унших боломжгүй болно.
  6. ** Өөрийгөө шалгана уу Trash (Bin), Sent, ба Spam Халдагчид аль санхүүгийн болон крипто дансыг дахин тохируулсныг харахын тулд нэн даруй фолдеруудыг нээнэ үү**: Халдагчид 6 оронтой баталгаажуулах кодыг хүлээн авснаас хойш таны банк, Coinbase/Binance, Amazon, PayPal эсвэл Steam-аас ирж буй аюулгүй байдлын сэрэмжлүүлгийг устгана. Таныг нээ Trash болон Sent яг одоо хавтаснууд: таны дотор байгаа нууц үг шинэчлэх имэйл бүр Trash Энэ нь халдагчийн аль хэдийн нэвтэрсэн эсвэл зөрчихийг оролдсон бүртгэл юм.

Danger

Таныг дээрэмдэж байх үед танай банк, PayPal эсвэл крипто бирж танд аюулгүй байдлын сэрэмжлүүлгийн 10 имэйл илгээснийг та яагаад анзаараагүй юм бэ? Учир нь халдагчийн хакердсан Gmail эсвэл Outlook ирсэн имэйл хайрцаг дотор хийх хамгийн эхний зүйл бол Чимээгүй дарах дүрэм үүсгэх явдал юм (жишээ нь: Илгээгч агуулагдсан бол @chase.com, @coinbase.com, @paypal.com, эсвэл Сэдвийг агуулна Verification Code, Security Alert, Password, Login -> Уншсан гэж тэмдэглэж, Ирсэн имэйлийг алгасаад Хогийн сав / Архив / RSS хангамж руу зөөнө). Эхлээд өөрийн Дүрэм / Шүүлтүүр таб болон Хогийн сав / Архив хавтасаа байнга шалгаарай, таны үндсэн Ирсэн имэйлийг халдагч санаатайгаар цензурдаж байна.

Шийдвэрийн мод: хяналтыг сэргээж, арын хаалгыг цэвэрлэх

Та өөрийн ирсэн имэйл хайрцагт хандах эрхтэй хэвээр байгаа эсвэл халдагчид бүрэн түгжигдсэн эсэхээс үл хамааран энэ алхам алхмаар заах модыг дагана уу:

flowchart TD
    A["Сэжигтэй эсвэл баталгаажуулсан цахим шуудангийн бүртгэл"] --> B{"Та яг одоо өөрийн цахим шуудангаар нэвтэрч чадах уу?"}
    B -->|"Тийм: Би хандах эрхтэй хэвээр байна"| C["Цэвэр ухаалаг утас руу шилжих (халдвартай компьютерээс зайлсхий)"]
    C --> D["1. Халдагчийн сэргээх утас, сэргээх имэйл болон хуурамч Гадаад харилцааны яамны нэвтрэх түлхүүрүүдийг устгана уу."]
    D --> E["2. Нууц үгээ өвөрмөц 20+ тэмдэгтийн нууц үг болгон сольж, фишингэнд тэсвэртэй 2FA-г идэвхжүүлнэ үү."]
    E --> F["3. 'Бүх төхөөрөмжөөс гарах' гэснийг товшоод 16 тэмдэгт бүхий бүх програмын нууц үгийг устгана уу."]
    F --> G["4. Ширээний вэбмэйл нээх: Нуугдсан дамжуулалт, шүүлтүүр, шүүрдэх дүрэм, төлөөлөгчдийг цэвэрлэх"]
    G --> H["5. OAuth гуравдагч этгээдийн програмуудыг хүчингүй болгож, хогийн сав/илгээсэн фолдерыг зөрчсөн гадаад акаунтуудыг шалгана уу."]
    B -->|"Үгүй: Халдагчид нууц үг болон сэргээх утасны дугаарыг өөрчилсөн"| I{"Ямар төрлийн цахим шуудангийн бүртгэл түгжигдсэн бэ?"}
    I -->|"Ажил / Сургууль / Корпорацийн домэйн (@company.com)"| J["Мэдээллийн технологийн админтай нэн даруй холбоо барина уу: Админ админ консолоор дамжуулан 60 секундын дотор MFA-г дахин тохируулах, жетоныг хүчингүй болгох, хандалтыг сэргээх боломжтой."]
    I -->|"Хувийн Gmail / Outlook.com / Yahoo / iCloud"| K["Түүхэн гэрийн Wi-Fi IP болон танил хөтөч/утаснаас бүртгэл сэргээх автомат маягтыг ажиллуулна уу."]
    K --> L["Банкууд, гар утасны операторууд болон крипто биржүүдтэйгээ шууд утсаар холбогдож, энэ имэйлтэй холбоотой дансуудыг царцаах хэрэгтэй."]

1-р үе шат: Имэйл үйлчилгээ үзүүлэгчийн (Gmail, Outlook/M365, Yahoo, iCloud) гүн гүнзгий цэвэршүүлэх аудит

Томоохон имэйл үйлчилгээ үзүүлэгч бүр дамжуулах дүрэм, шүүлтүүр, OAuth жетон, шуудангийн хайрцгийн төлөөлөгчдийг арай өөр цэсэнд хадгалдаг. Та компьютер дээрээ Apple Mail эсвэл Outlook Desktop ашигладаг байсан ч сервер талын эдгээр тохиргоог харахын тулд ширээний хөтчөөр үйлчилгээ үзүүлэгчийн албан ёсны вэб шуудангийн интерфейс рүү нэвтрэх шаардлагатай (эсвэл гар утасны хөтөч дээрээ "Ширээний сайт"-ыг хүсэх шаардлагатай).

Тогтвортой байдлын механизм Google Gmail / Google Workspace Microsoft Outlook.com / Microsoft 365 Yahoo Mail / AOL Mail Apple iCloud Mail
1. Recovery Info & MFA Devices myaccount.google.com/security -> 2-Step Verification, Passkeys, Recovery phone, Recovery email. account.microsoft.com/security -> Manage how I sign in (Personal) or mysignins.microsoft.com/security-info (Work/School). login.yahoo.com/myaccount/security -> Two-step verification, Recovery phone numbers, Recovery email addresses. account.apple.com -> Sign-In and Security -> Account Security (Trusted Phone Numbers & Trusted Devices).
2. Force Sign-Out of All Sessions myaccount.google.com/device-activity -> Click each unfamiliar device -> Sign out. account.microsoft.com/security -> Sign me out everywhere (takes up to 24h on consumer; instant in Entra ID Revoke sessions). login.yahoo.com/myaccount/activity -> Recent activity -> Sign out of unfamiliar locations/browsers. Settings -> [Your Name] on iPhone -> Scroll down to device list -> Tap unfamiliar device -> Remove from Account.
3. Hidden Inbox Rules & Filters Gmail Web -> Settings (Gear) -> See all settings -> Filters and Blocked Addresses tab. Outlook Web -> Settings (Gear) -> Mail -> Rules, AND Mail -> Sweep, AND Junk email (Blocked senders). Yahoo Web -> Settings (Gear) -> More Settings -> Filters. icloud.com/mail -> Settings (Gear at top of Mail list) -> Settings -> Rules.
4. Auto-Forwarding & POP/IMAP Gmail Web -> Settings -> See all settings -> Forwarding and POP/IMAP tab. Outlook Web -> Settings (Gear) -> Mail -> Forwarding (and Forwarding and IMAP). Yahoo Web -> Settings -> More Settings -> Mailboxes -> Click your email address -> Forward. icloud.com/mail -> Settings (Gear) -> Settings -> Forwarding (Forward my email to).
5. Mailbox Delegation & Aliases Gmail Web -> Settings -> See all settings -> Accounts and Import -> Check Grant access to your account & Send mail as. Microsoft 365 Exchange Admin Center -> Mailboxes -> Delegation (Read and manage / Send as / Send on behalf). Yahoo Web -> Settings -> More Settings -> Mailboxes -> Send-only email address & Disposable addresses. icloud.com/mail -> Settings -> Addresses (Check for unauthorized iCloud aliases or Reply-To overrides).
6. Third-Party OAuth Apps & App Passwords myaccount.google.com/connections (OAuth Apps) & myaccount.google.com/apppasswords (16-char IMAP passwords). account.live.com/consent/Manage (Personal OAuth) or myapps.microsoft.com (Work) + App passwords under Security. login.yahoo.com/myaccount/security -> App passwords & External connections. account.apple.com -> Sign-In and Security -> App-Specific Passwords -> Revoke All.

Detailed Walkthrough 1: Purging a Hacked Google / Gmail Account

When cleaning a compromised Gmail or Google Workspace account, work through these exact seven tabs without skipping a single one:

  1. Audit Security & Passkeys (myaccount.google.com/security):
    • Click Passkeys and security keys: Attackers immediately register a synced passkey or virtual authenticator on their own browser so they can log back in with zero password and zero SMS prompt. Delete any passkey you do not recognize with 100 percent certainty.
    • Click 2-Step Verification -> check Authenticator, Google Prompt devices, Recovery phone, and Backup codes. Click Generate new codes to immediately invalidate any 8-digit backup codes the attacker screenshotted.
  2. Destroy Active App Passwords (myaccount.google.com/apppasswords):
    • An App Password is a 16-letter passcode that lets an IMAP mail client (like Thunderbird or a hacker's Python script) download your entire inbox forever while completely bypassing 2-Step Verification. Delete every App Password listed.
  3. Revoke Third-Party OAuth Connections (myaccount.google.com/connections):
    • Look for any application granted access to Gmail, Google Drive, or Google Contacts (attackers often use legitimate-looking mail clients like eM Client, Newton Mail, Cleanfox, or custom OAuth scripts). Click the app -> Delete all connections you have with [App Name].
  4. Check Gmail Accounts and Import Tab (Mail Delegation & Reply-To Hijacking):
    • In Gmail on a desktop computer, click the Gear icon -> See all settings -> Accounts and Import.
    • Under Grant access to your account, verify that ZERO email addresses are listed. A delegated user can read, send, and delete your emails without knowing your password.
    • Under Send mail as, click edit info next to your own name and verify the attacker did not insert a secret Specify a different "reply-to" address (for example, setting your Reply-To to yourname.company@gmail.com or an attacker lookalike domain so that whenever someone replies to your legitimate emails, their reply goes to the hacker instead of you).
  5. Check Gmail Filters and Blocked Addresses Tab:
    • Look closely at every filter. Attackers often create filters matching from:(a|e|i|o|u) эсвэл size > 0 эсвэл has:attachment or keywords like invoice, wire, bank, security, alert, code with the action Skip the Inbox (Archive it), Mark as read, Delete it, or Forward it to:. Delete every unfamiliar filter.
  6. Check Gmail Forwarding and POP/IMAP Tab:
    • Verify Forwarding is set to Disable forwarding, remove any unrecognized forwarding address from the dropdown list, and set IMAP access to Disable IMAP (unless you specifically use a secure desktop client).
  7. Check Google Drive Trash & Google Takeout History:
    • Attackers frequently trigger a Google Takeout (takeout.google.com) archive to download a .zip of all your emails, Google Photos, and Google Drive documents, including tax returns and password lists. Visit takeout.google.com right now: if you see an active or completed export you did not request, click Cancel export and see exactly which data categories were packaged.

Detailed Walkthrough 2: Purging a Hacked Microsoft Outlook.com / Hotmail / Microsoft 365 Account

Microsoft accounts (@outlook.com, @hotmail.com, @live.com, @msn.com, and corporate Microsoft 365 Exchange Online mailboxes) have several unique hiding spots that attackers exploit during Business Email Compromise (BEC) and consumer hacks:

  1. The Hidden RSS Feeds болон Conversation History Folder Trap:
    • In Outlook, attackers rarely route suppressed emails into the main Deleted Items folder because users check Deleted Items. Instead, they create an Outlook Rule named . эсвэл 1 Энэ нь ирж буй имэйлийг ** руу шилжүүлдэг.RSS Feeds**, Archive, or Conversation History хавтсанд оруулаад уншсан гэж тэмдэглэнэ. Зүүн талын самбар дээрх хавтас бүрийг шалгана уу, ялангуяа RSS Feeds, яг одоо.
  2. Аудит хийх Rules БА Sweep Outlook вэб дээр (outlook.live.com эсвэл outlook.office.com):
    • Settings Gear (баруун дээд) -> Мэйл -> Дүрэм дээр дарна уу. Өөрийн үүсгээгүй бүх дүрмийг устгана уу.
    • Халдагчийн дүрмийн доод талд байгаа шалгах нүдийг анхаарна уу: Stop processing more rules. Халдагчид өөрсдийн дээд дүрмийн энэ нүдийг чагталдаг тул таны хууль ёсны дүрмүүдийн аль нь ч ажиллахгүй.
    • Дараа нь Mail -> Sweep болон Mail -> Хэрэггүй имэйл -> Блоклогдсон илгээгчид болон домэйнууд дээр дарна уу. Халдагчид байнга нэмдэг @microsoft.com, @google.com, @apple.com, @chase.com, @bankofamerica.com, ба @coinbase.com Таны Блоклогдсон Илгээгчид болон Домэйн жагсаалт руу оруулснаар аюулгүй байдлын сэрэмжлүүлэг ирэх эсвэл Хог хаяг руу чимээгүйхэн очно. Блоклогдсон илгээгчдийн жагсаалтаа хууль ёсны компаниудаас арилгана уу.
  3. ** Шалгана уу Mail -> Forwarding and IMAP**:
    • Дамжуулахыг идэвхжүүлэх-г сонгоогүй эсэхийг шалгаарай. Хэрэв халдагчийн имэйл хаяг хайрцагт сууж байвал "Keep a copy of forwarded messages" Чагалгаагүй бол танд илгээсэн имэйл бүрийг хакер руу дамжуулж, ирсэн имэйл хайрцагт тань хүрэхээс өмнө таны шуудангийн хайрцгаас устгасан.
  4. Корпорацийн Microsoft 365 администраторуудад: Нууцлагдсан MAPI / гэмтсэн Ирсэн имэйлийн дүрмийг илрүүлэхийн тулд PowerShell-г ажиллуулна уу (MFCMAPI):
    • Нарийвчилсан BEC аюул заналхийлэгчид Exchange Web Services (EWS) API эсвэл MFCMAPI дуулсан гэмтсэн Ирсэн имэйлийн дүрмийг үүсгэх ( PR_RULE_MSG_NAME болон PR_RULE_MSG_PROVIDER MAPI шинж чанарууд) Outlook Web GUI эсвэл стандарт Exchange Admin Center-д огт харагдахгүй.
    • Мэдээллийн технологийн админ нь Exchange Online PowerShell-д холбогдож дараахыг ажиллуулна: 
      Get-InboxRule -Mailbox victim@yourdomain.com -IncludeHidden | Format-List Name,Enabled,Description,ForwardTo,ForwardAsAttachmentTo,RedirectTo,DeleteMessage,MoveToFolder
    • ** нэмэх-IncludeHidden** туг нь шуудангийн хайрцгийн Холбоотой агуулгын хүснэгтэд нуугдаж буй MAPI дүрмүүдийг илчилдэг (FAI), үүнийг дараа нь дамжуулан цэвэрлэж болно Remove-InboxRule -Mailbox victim@yourdomain.com -Identity "<RuleID>" эсвэл хөөргөх замаар outlook.exe /cleanrules.
    • Мөн Түрээслэгчийн түвшний солилцооны тээврийн дүрэм (мэйл урсгалын дүрэм)-ийг шалгана уу Get-TransportRule: хэрэв халдагчид Exchange Administrator акаунтыг эвдсэн бол тэд бие даасан шуудангийн хайрцгийн дүрмээс илүүтэйгээр бүх байгууллагын хэмжээнд шуудангийн урсгалын дүрмийг үүсгэсэн байж болзошгүй.

Warning

Нууц үгээ сольж, хоёр хүчин зүйлийн баталгаажуулалтыг идэвхжүүлсний дараа халдагчид яагаад миний имэйл рүү нэвтэрсэн хэвээр байна вэ? Хулгайлсан сессийн күүки дахин тоглуулах (Infostealer Malware) эсвэл ** Хортой хөтчийн өргөтгөлүүдээс**. Хэрэв та Windows компьютер эсвэл Mac дээрээ хулгайн программ, хуурамч PDF/нэхэмжлэх хэрэгсэл, хуурамч видео кодлогч, эсвэл хортой Chrome өргөтгөл татаж авсан бол уг хортой програм нь шифрлэгдсэн SQLite Cookie мэдээллийн санг таны хөтчөөс хуулна.%LocalAppData%\Google\Chrome\User Data\Default\Network\Cookies). Таны күүкиг илрүүлэлтийн эсрэг хөтөч рүү оруулснаар халдагчид таны нууц үг болон 2FA-ын хажуугаар өнгөрдөг. Хэрэв та өөрийн компьютерт хортой програмыг сэжиглэж байгаа бол манай гарын авлагыг үзнэ үү хортой програм, ransomware, spyware халдвар компьютер дээрээ имэйл рүүгээ буцаж орохоосоо өмнө үйлдлийн системээ дахин суулгаарай.

2-р үе шат: Хэрэв та бүрэн түгжигдсэн бол яах вэ (Халдагч нууц үг болон 2FA-г өөрчилсөн)

Хэрэв халдагч таны нууц үгийг аль хэдийн сольж, сэргээх утасны дугаарыг өөрийн дугаараар сольж, Authenticator програм эсвэл техник хангамжийн түлхүүрээ асаасан бол халдагч таныг түгжигдсэн үед таны холбогдсон бүртгэлүүдийг идэвхтэй дээрэмдэж байгаа тул минут бүр чухал юм.

Алхам 1: Эхлээд халдагчийн санхүүгийн хөшүүргийг таслана (эхний 15 минут)

Хакер хулгайлсан ирсэн имэйл хайрцгийг чинь ашиглан таны банкны дансыг устгаж байх хооронд цахим шуудан сэргээх автомат маягттай тэмцэхэд гурван цаг бүү зарцуул.

  1. Банк, зээлийн карт гаргагч, хөрөнгө оруулалтын зуучлагчтайгаа утсаар холбогдоно уу:
    • Залилангийн хэлтэст хэлээрэй: "Миний үндсэн имэйл хаяг [your@email.com] алдагдаж, би одоогоор энэ хаягийг хаасан байна. Миний профайл дээр нэн даруй аман нууц үг / аюулгүй байдлын түгжээг байрлуулж, идэвхтэй вэб/мобайл сешнүүдийг цуцалж, өөрөө өөртөө үйлчлэх нууц үг шинэчлэхээс тэр имэйл хаягийг устга."
  2. Дахин SIM солихын эсрэг гар утасны операторын дансаа түгжих:
    • Таны хакердсан ирсэн имэйл хайрцагт халдагч таны сар бүр AT&T, Verizon, T-Mobile, Rogers, Vodafone, эсвэл O2 төлбөрийг уншиж, таны гар утасны дансны дугаар болон төлбөрийн хаягийг өгөх боломжтой. Таны Дугаар шилжүүлэх PIN / Порт царцаах болон Дансны нууц код түгжигдсэн эсэхийг шалгахын тулд шууд оператор компанитайгаа холбогдоно уу.
  3. Криптовалютын солилцооны дансаа царцаах (Coinbase, Binance, Kraken, Gemini):
    • Ихэнх томоохон биржүүд таны и-мэйл алдагдсан тохиолдолд нэг товшилтоор эсвэл яаралтай тусламжийн утас Бүртгэлийн түгжээ-ээр хангадаг (жишээ нь: Coinbase-ийн автомат яаралтай тусламжийн түгжээ рүү залгах гэх мэт +1 (888) 908-7930 АНУ-д/Олон улсын эсвэл +44 808 168 4635 Их Британид).
  4. Нэвтрэх боломжтой бүх бүртгэлийнхээ бүртгэлтэй имэйл хаягийг өөрчлөх:
    • Та Amazon, PayPal, Venmo, Steam, Discord, Apple ID болон ухаалаг утасныхаа программ дээрх нууц үгийн менежер рүүгээ нэвтэрсэн хэвээр байгаа байх. Цоо шинэ, цэвэр яаралтай тусламжийн имэйл хаяг үүсгээд (жишээ нь, ProtonMail дээр эсвэл техник хангамжийн түлхүүрээр хамгаалагдсан шинэ Gmail дээр) нэвтэрсэн хэвээр байгаа апп-уудынхаа аппын тохиргоо руу нэн даруй нэвтэрч, халдагчид дахин тохируулахаас өмнө хакердсан хаягаас холбоо барих имэйлээ солино уу.

Алхам 2: Бүртгэлийг сэргээх автомат алгоритмыг хэрхэн нэвтрүүлэх вэ (Google, Microsoft, Yahoo)

Үнэгүй хэрэглэгчийн имэйл хаягуудын хувьд (@gmail.com, @outlook.com, @hotmail.com, @yahoo.com), хүний ​​тусламжийн агентууд нууц үгээ гараар шинэчлэх эсвэл утсаар 2FA-г тойрч гарахыг инженерийн удирдлага хатуу хориглодог (нийгмийн инженерчлэлээс сэргийлэхийн тулд). Үүний оронд сэргээх ажиллагааг автоматжуулсан Эрсдэл ба таних онооны систем удирддаг. Криптографийн итгэлийн оноогоо нэмэгдүүлэхийн тулд далд "7-өдөр / 30-өдөр Хамгаалалтын саатлыг хүчингүй болгох"-г идэвхжүүлэхийн тулд:

  1. ** ШҮҮХ ДҮРЭМ: Сэргээх маягтыг өөрийн хуучин төхөөрөмж, хөтөч болон гэрийн Wi-Fi IP хаягаас илгээнэ үү**:
    • Хэзээ ч гүйхгүй accounts.google.com/signin/recovery эсвэл account.live.com/acsr үүрэн дата дээрх цоо шинэ нууцлалын хөтчийн цонхноос эсвэл VPN-ээр дамжуулан.
    • Та ердийн гэр эсвэл оффисын Wi-Fi чиглүүлэгчид холбогдсон үедээ сүүлийн нэг жилийн хугацаанд өдөр бүр тухайн имэйл хаяг руу нэвтэрсэн зөөврийн компьютер, ширээний компьютер эсвэл ухаалаг утас болон яг хөтөч (бүтээнгүй күүки/локал хадгалах сантай) ашиглана уу.ASN болон газарзүйн байршлын тохирол). Сэргээх алгоритм нь төхөөрөмжийн хурууны хээний токенуудыг ихээхэн жинтэй болгодог (DeviceID) болон түүхэн IP дэд сүлжээнүүд.
  2. Google / Gmail сэргээх (accounts.google.com/signin/recovery):
    • Халдагчид таны сэргээх утас болон сэргээх имэйл хаягийг хэдхэн секундын өмнө өөрчилсөн ч Google таны ӨМНӨ сэргээх утасны дугаар болон ӨМНӨ сэргээх имэйл хаягийг халдагчид өөрчилсний дараа яг 7 хуанлийн өдөр (168 цаг) хүчинтэй сэргээх хүчин зүйл болгон хадгална.
    • Энэ үеэр асуухад signin/recovery, таны эхний утасны дугаар эсвэл эх сэргээх имэйл хаяг руу код илгээхийг санал болгох эсвэл өмнө нь бүртгүүлсэн Android утас/iPhone-д Google Prompt-ээр дамжуулан сануулах хүртэл "Өөр аргаар оролдоно уу" дээр дарна уу.
    • Хэрэв та Google One (төлбөртэй Cloud Storage) эсвэл YouTube Premium / YouTube сувагт бүртгүүлсэн бол:
      • Төлбөртэй Google One-н захиалагчид амьд хүний Google One-н тусламж (one.google.com/support) хэн дотооддоо түгжигдсэн дансуудыг нэмэгдүүлэх боломжтой.
      • Хэрэв таны хакердсан Google акаунт YouTube суваг эзэмшдэг бол холбоо барина уу@TeamYouTube X (өмнө нь Twitter) дээр шууд олон нийтэд ил болно. Стандарт Gmail-ээс ялгаатай нь @TeamYouTube Зохиогчийн дэмжлэг нь таны эх хувийг баталгаажуулдаг Google-ийн найдвартай, аюулгүй байдлын инженерүүдийн туршсан тусгай зориулалтын Хакердсан Бүртгэл нэмэгдүүлэх маягт өгдөг. Channel ID (UC..), AdSense ID болон IP түүхийг байршуулж, халдагчийн нэвтрэх түлхүүр/MFA-г устгаж, 24-72 цагийн дотор Google/Gmail хаягаа бүхэлд нь сэргээнэ үү.
  3. Microsoft Outlook / Hotmail / Xbox данс сэргээх (account.live.com/acsr):
    • Эхлээд нэвтэрч үзээд 2FA дэлгэцэн дээр "Надад эдгээрийн аль нь ч байхгүй" гэснийг товшино уу: хэрэв танд бүртгэлээ анх тохируулахдаа хадгалсан 25 тэмдэгттэй Microsoft-ын сэргээх код байгаа бол үүнийг оруулснаар халдагчийн аюулгүй байдлын мэдээллийг солих боломжтой (Microsoft-ын заавал дагаж мөрдөх **30 хоногийн аюулгүй байдлын мэдээллийг ** хэрэв та халдлага үйлдэхийг хүлээх үед солих боломжтой. данс).
    • Microsoft бүртгэл сэргээх маягтыг бөглөхдөө (account.live.com/acsr) гэрийн Wi-Fi IP-ээс:
      • Сүүлийн үед илгээсэн 3-4 имэйлийн яг Сэдвийн мөр-г оруулна уу (найзууд эсвэл гэр бүлийнхнээсээ өөрсдийн ирсэн имэйл хайрцагаа харж, саяхан илгээсэн имэйлийн сэдвийн мөрүүдийг тэмдэгт тус бүрээр нь уншихыг хүс).
      • Саяхан имэйл илгээсэн харилцагчдынхаа имэйл хаягийг тодорхой зааж өгнө үү.
      • Xbox консолын техник хангамжаа өгнө үү LiveDeviceID / Серийн дугаар хэрэв та Microsoft-ын бүртгэлээр Xbox-д нэвтэрсэн бол Microsoft Store/Skype/Office 365 дээр ашигласан зээлийн картын сүүлийн 4 орон болон дуусах огноо.

Tip

Та хакердсан имэйл хаяг руугаа дахин нэвтэрсний дараа **-г шалгана уу Sent хавтас болон таны Trash Халдагчид таны харилцагчид руу залилан мэхлэх, залилан мэхлэх цахим шуудангийн хавтас. ** Халдагчид ихэвчлэн таны ирсэн имэйл хайрцагнаас эмзэг зураг, татварын баримт бичиг, бизнесийн нэхэмжлэхийг сканнердаж, найз нөхөд, өндөр настай эцэг эх, үйлчлүүлэгчиддээ хуурамч "яаралтай бэлгийн карт / мөнгөн шилжүүлэг" имэйл илгээдэг. Зөрчлийн цонхны үеэр халдагч мессеж илгээсэн хүнд тодорхой анхааруулах имэйл (болон мессеж) илгээнэ үү.

3-р үе шат: Таны хуучин цахим шуудангийн дотор ил болсон нууцуудын хохирлыг хянах

Халдагчийг хааж, бүх дүрэм, OAuth жетоныг цэвэрлэсний дараа та шүүх эмнэлгийн гайхалтай бодит байдалтай тулгарах ёстой: Хэрэв халдагч таны шуудангийн хайрцагт IMAP, OAuth эсвэл вэб хандалттай байсан бол 15 минутын турш тэд таны бүх түүхэн имэйл архиваас автомат түлхүүр үг хайлт хийсэн гэж бодъё.

Халдагчид таны 50,000 хуучин имэйлийг гараар уншдаггүй. Тэдгээрийн автоматжуулсан скриптүүд нь таны ирсэн имэйл хайрцагнаас эдгээр өндөр үнэ цэнэтэй арван түлхүүр үгийг нэн даруй хайж, тохирох мессеж болон PDF хавсралтыг татаж авна.

  1. "seed", "mnemonic", "recovery phrase", "24 words", "wallet", "Coinbase", "Binance", "Ledger": Хэрэв та өөртөө зураг, бичвэр тэмдэглэл, эсвэл криптовалютны үрийн үг хэллэг эсвэл 2FA нөөц кодын шифрлэгдсэн зипийг цахим шуудангаар илгээсэн бол түрийвчээ нэн даруй эвдэрсэн гэж үзээд бүх хөрөнгийг цоо шинэ техник хангамжийн түрийвч рүү шилжүүлээрэй.
  2. "tax", "1040", "W-2", "1099", "SSN", "Social Security", "passport", "driver license", "mortgage", "closing": Таны ирсэн имэйл хайрцагт байгаа зээлийн өргөдөл, орон сууцны түрээс, ЦХҮа-ны имэйлүүд нь таны шинэчлэгдээгүй Нийгмийн даатгалын дугаар (эсвэл улсын иргэний үнэмлэх), төрсөн огноо, жолооны үнэмлэхний зураг бүхий PDF файлуудыг агуулсан байх нь гарцаагүй. Equifax, Experian, TransUnion ашиглан Зээлийн царцаалт-г яаралтай байрлуул (манай гарын авлагыг үзнэ үү. хувийн мэдээллийг хулгайлсан хариу үйлдэл).
  3. "password", "login", "credentials", "welcome to", "backup codes": Яг одоо өөрийн ирсэн имэйл хайрцгаас үг хайх password болон backup code, тэдгээр аюултай ил захидалд дурдсан нууц үг бүрийг эргүүлсний дараа устга.
  4. "invoice", "ACH", "wire", "routing", "escrow", "closing costs", "docusign": Хэрэв та байшин худалдаж авах, гэрээлэгчээс мөнгө төлөх эсвэл бизнес эрхлэх гэж байгаа бол халдагч одоо таны бодит нэхэмжлэхийн хуулбар, банкны чиглүүлэлтийн дэлгэрэнгүй мэдээлэлтэй байгаа бөгөөд шилжүүлгийг хулгайлахын тулд таныг эсвэл танай компанийн нэрээр дуурайхыг оролдох болно. Үл хөдлөх хөрөнгийн компани, эскроу хариуцсан ажилтан эсвэл үйлчлүүлэгчтэйгээ шууд утсаар холбогдож сэрэмжлүүлээрэй.

Байнга асуудаг асуултууд

I changed my email password and turned on 2FA, yet the hacker is STILL sending emails from my account. How is that possible?

There are four technical mechanisms that survive a password change and 2FA setup: **1. Active Third-Party OAuth Tokens**: The hacker connected an OAuth application (like `eM Client`, `Thunderbird`, or a malicious script) to your account; OAuth tokens authenticate via API refresh tokens and never check your password again until you explicitly revoke the app at `myaccount.google.com/connections` or `account.live.com/consent/Manage`. **2. 16-Character App Passwords**: The hacker generated an IMAP/SMTP App Password in your security settings, which bypasses 2FA completely. **3. Mailbox Delegation**: In Gmail (`Settings -> Accounts and Import -> Grant access to your account`) or Microsoft 365 Exchange Delegation, the hacker added their own account as a delegate. **4. Infostealer Malware on Your PC**: Your computer has a trojan stealing the live session cookie from your web browser every time you log in with your new password.

Why am I suddenly receiving 500 to 5,000 random newsletter sign-up emails per hour ("Email Bombing")?

If your inbox suddenly explodes with thousands of automated *"Confirm your newsletter subscription"* emails in every language from random websites around the world, **you are under an active "Subscription Bomb" (Email Bombing) attack.** Do NOT bulk-delete your entire inbox without looking closely. Attackers launch a Subscription Bomb to bury **one specific, critical email** that arrived right at the start of the flood, such as an **Apple Store / Best Buy $3,000 laptop order confirmation**, a **Bank Wire Transfer alert**, a **Zelle / PayPal transfer receipt**, or a **Mobile Carrier SIM Swap notification**. Use your email search bar immediately to filter for: `subject:(order OR receipt OR wire OR transfer OR password OR security OR alert OR SIM)` or check your bank, credit card, Amazon, Walmart, and mobile carrier accounts right now to find the single fraudulent transaction they are trying to hide in the noise.

Can an attacker hack my email just by me opening and reading an email without clicking any links or downloading attachments?

In modern webmail (Gmail, Outlook Web, Yahoo, Apple Mail on updated iOS/macOS), simply opening and reading a plain text or HTML email does **not** hand over your password or infect your device, provided your operating system and browser are up to date. The only thing opening an email can reveal to a sender is a **Tracking Pixel** (an invisible 1x1 pixel external image that tells a spammer your email address is active and reveals the rough IP address of the mail proxy, though Apple Mail Privacy Protection and Gmail image proxies now mask even your real IP). Almost 100 percent of email takeovers come from **1. Credential Reuse** (reusing a password leaked in another website's data breach), **2. Adversary-in-the-Middle (AitM) Phishing Links** (clicking a fake login link), or **3. Infostealer Malware** executed on a PC.

Why did I get an email from MY OWN email address saying a hacker recorded me through my webcam (`Pegasus` / Trojan extortion email)?

If you received an email that appears to be sent **`From: your_own_email@domain.com` `To: your_own_email@domain.com`** claiming a hacker installed "Pegasus spyware" or recorded you via your webcam while browsing adult websites and demanding $500 to $2,000 in Bitcoin, **your email and computer were NOT hacked.** This is a mass-automated **SMTP Header Spoofing scam**. Basic email protocols allow any spam server to type your address into the visual `From:` display header (just like writing a fake return address on a paper envelope). If you check your **`Sent`** folder, you will see that email is not in your `Sent` folder, and if you click **"Show Original" / "View Message Source"**, you will see `SPF: FAIL` or `DMARC: FAIL` from a foreign server IP. Delete the email and never pay.

What is the safest type of Two-Factor Authentication (2FA) to put on my email so it can never be phished or SIM-swapped?

Move away from **SMS Text Message 2FA** (which can be stolen via a SIM swap) and even standard 6-digit TOTP Authenticator codes (which can be intercepted in real time if you accidentally type them into an Adversary-in-the-Middle `Evilginx` phishing page). Instead, enable **FIDO2 / WebAuthn Passkeys or Physical Hardware Security Keys (such as a YubiKey 5 Series or Google Titan Key)**. Because FIDO2 cryptographic signatures are mathematically bound to the genuine browser domain (`google.com` or `login.live.com`), a FIDO2 hardware key or passkey makes it cryptographically impossible for an attacker to phish your login, even if you click a sophisticated fake login link. Enroll at least **two** hardware keys (one primary on your keychain, one backup in a fireproof safe) and enable **Google Advanced Protection Program (`landing.google.com/advancedprotection`)** if you are a high-risk target.

Should I permanently abandon my old email address after a hack and create a brand-new one?

If you thoroughly purge all 6 persistence points (Recovery info, Active sessions, App Passwords, OAuth grants, Filters/Forwarding rules, and Delegation) and lock the account with a strong unique password and FIDO2 MFA, **the technical security of the account is 100 percent restored.** However, you should still ** keep the old email account open and locked down forever** rather than deleting it. If you delete an old `@outlook.com`, `@yahoo.com`, or custom domain email address, an attacker may eventually re-register that recycled username and use it to reset forgotten accounts tied to it. Many security professionals keep their old address locked with a hardware key as a decoy/legacy inbox while migrating their **banking, brokerage, tax, and cryptocurrency logins** to a brand-new, private, unpublicized email address (`myname-vault@proton.me` or a dedicated Gmail) that is never given out on shopping sites, newsletters, or social media.

Эх сурвалжуудыг шалгасан

  • Кибер аюулгүй байдал, дэд бүтцийн аюулгүй байдлын агентлаг (CISA, АНУ): Бизнесийн цахим шуудангийн эвдрэлээс хамгаалах (BEC), OAuth програмыг урвуулан ашиглах, фишингэнд тэсвэртэй Гадаад харилцааны яамны удирдамж (cisa.gov/MFA болон cisa.gov).
  • Microsoft Security Response Center & Defender Threat Intelligence (Америкийн Нэгдсэн Улс): Office 365-д зориулсан Microsoft Defender дахь эвдэрсэн имэйл бүртгэлд хариу өгөх (Нуугдсан ирсэн имэйлийн дүрмүүд) -IncludeHidden, OAuth зөвшөөрлийн тэтгэлэг, хуралдааныг хүчингүй болгох) (learn.microsoft.com/en-us/defender-office-365/responding-to-a-compromised-email-account).
  • Google Бүртгэлийн аюулгүй байдал, ажлын талбарын админы тусламж (Америкийн Нэгдсэн Улс): Хакердсан эсвэл эвдэгдсэн Google бүртгэл, OAuth гуравдагч талын холболтууд болон дэвшилтэт хамгаалалтын программыг хамгаалах (support.google.com/accounts/answer/6294825).
  • Үндэсний Кибер Аюулгүй байдлын Төв (NCSC, Нэгдсэн Вант Улс): Эвдэрсэн цахим шуудангийн бүртгэлийг сэргээх, Имэйл дамжуулах дүрмийн тогтвортой байдлыг багасгах (ncsc.gov.uk).
  • Холбооны Худалдааны Хороо (FTC, АНУ): Хэрэв таны имэйл хаяг хакердсан бол яах вэ (consumer.ftc.gov).
  • Австралийн кибер аюулгүй байдлын төв (ACSC / ASD, Австрали): Имэйл бүртгэлийг хамгаалах, зөвшөөрөлгүй ирсэн имэйл хайрцагны дүрмийг илрүүлэх (cyber.gov.au).

Холбогдох хөтөч